odp.net core不支持ssl/tls连接——因其纯托管驱动绕过oci，忽略所有ssl连接参数及sqlnet.ora配置；唯一可行路径是oracle wallet配合tcps，需严格匹配证书dn、正确设置wallet_location环境变量并确保wallet文件可读。
不能直接用 SSL 参数连 Oracle 19c —— ODP.NET Core 不支持 SSL Server Certificate DN 这类连接字符串参数，也不识别 sqlnet.ora 中的 TLS 配置。
为什么 .NET Core 应用连不上 Oracle 的 SSL/TLS 端口？
Oracle 19c 支持 TCPS（即 SSL/TLS）协议，但前提是客户端必须走 Oracle 原生网络层（OCI），而 Oracle.ManagedDataAccess.Core 是纯托管驱动，完全绕过了 OCI。它不解析 sqlnet.ora，也不触发 GSSAPI/SSL 握手协商，所有 SSL 相关连接字符串项（如 SSL Server Certificate DN、Enable=TRUE）都会被静默忽略。
- 你看到 PL/SQL Developer 或 SQL*Plus 能连上 TCPS，是因为它们调用了本地安装的 Oracle Client（含 OCI）
- .NET Core 应用若引用的是
Oracle.ManagedDataAccess.Core，哪怕连接字符串写全了 SSL 参数，实际仍走明文 TCP 连接 - 如果数据库监听器只开放 TCPS（关闭 TCP），.NET Core 应用会直接报
ORA-12537: TNS:connection closed或超时
唯一可行路径：用 Oracle Wallet + TCPS 连接
ODP.NET Core 官方支持的 SSL 连接方式，仅限于通过 Oracle Wallet 加载证书后启用 TCPS。这不是“配置参数”，而是必须提前准备文件和环境。
- 在数据库端启用 TCPS 监听，并配置
sqlnet.ora：SSL_CLIENT_AUTHENTICATION=FALSE（若不需要双向认证） - 用
mkstore工具创建 wallet：mkstore -wrl /path/to/wallet -create，再导入数据库服务器证书：mkstore -wrl /path/to/wallet -add trusted_cert "CN=oracle-db" - 设置环境变量：
WALLET_LOCATION=/path/to/wallet（Windows 下建议用系统级变量，.NET Core 进程需能读取） - 连接字符串中必须包含：
Wallet Location=/path/to/wallet;SSL Server Certificate DN="CN=oracle-db"—— 注意此处的 DN 必须与证书中 Subject 完全一致，包括大小写和空格 - 确保 wallet 目录权限允许运行应用的用户读取（Linux/macOS 尤其注意）
常见失败现象和排查点
即使按上述步骤操作，仍可能卡在几个隐蔽环节：
-
ORA-28860: Fatal SSL error：wallet 路径错误、证书未导入、或SSL Server Certificate DN拼写不匹配（可用openssl x509 -in cert.pem -text -noout核对） - 连接成功但仍是明文流量：说明 wallet 未生效，检查
WALLET_LOCATION是否被进程继承（Linux 下用ps eww -p $PID查看环境变量） - EF Core 报
Invalid connection string attribute 'Wallet Location'：EF Core 会过滤不认识的键，必须把 wallet 参数放在Data Source内部括号里，例如：Data Source=(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)(HOST=...))(CONNECT_DATA=...)(SECURITY=(MY_WALLET_DIRECTORY=/path/to/wallet))) - Windows 上用 IIS Express 或 Azure App Service：
WALLET_LOCATION变量可能被沙箱限制，建议改用绝对路径硬编码在连接字符串中
真正难的不是写代码，而是让 wallet 文件、证书 DN、监听器配置、连接字符串三者严丝合缝。少一个字符，就只是静默降级到非加密连接 —— 你甚至不会收到警告。
